ABD’de Tren Skandalı: Hackerlar, 10 Yıllık Bir Açıkla Trenleri Uzaktan Durdurabilir!
Amerika Birleşik Devletleri’nin demiryolu altyapısında, on yıldan uzun bir süredir var olan ancak yeni gün yüzüne çıkan kritik bir güvenlik açığı, ülkenin en önemli ulaşım ağlarından birini potansiyel olarak felç edebilecek bir tehdit oluşturuyor. Bağımsız bir siber güvenlik araştırmacısı, bilgisayar korsanlarının bu zafiyetten faydalanarak trenlerin fren sistemlerini uzaktan tetikleyebileceğini ve onları hareket halindeyken durdurabileceğini iddia etti. İşin en endişe verici yanı ise, demiryolu endüstrisinin bu sorundan yıllardır haberdar olmasına rağmen, sorunu gidermek için ancak şimdi harekete geçmeye başlaması.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bu güvenlik açığının varlığını doğrulayarak, endüstri ortaklarıyla birlikte azaltma stratejileri üzerinde çalıştıklarını belirtti.
Sorun Nedir? Radyo Frekansları Üzerinden İletişim
404 Media tarafından raporlanan habere göre, güvenlik araştırmacısı Neil Smith, bu zafiyeti ilk olarak 2012 yılında keşfetti. Sorun, trenlerin fren sistemlerinin, güvenli olmayan radyo frekansları üzerinden iletişim kurmasından kaynaklanıyor. Smith, bu saldırıyı gerçekleştirmek için gereken tüm teknik bilginin internette mevcut olduğunu ve kötü niyetli kişilerin, bu demiryolu araçlarını hedeflemek için yapay zekayı bile kullanabileceğini belirtiyor. Smith, durumu şu sözlerle özetliyor:
“Saldırıyı gerçekleştirmek için gereken tüm bilgi zaten internette var. Hatta yapay zeka bunu sizin için inşa edebilir. Fiziksel yönü, sadece bu saldırıyı başka bir ülkeden internet üzerinden yapamayacağınız, sinyalinizin hala alınabilmesi için trenden belirli bir fiziksel mesafede olmanız gerektiği anlamına geliyor.”
Saldırının Potansiyel Ölçeği: FlipperZero’dan Uçağa
Neil Smith, bu zafiyetin ne kadar kolay ve farklı ölçeklerde istismar edilebileceğini de açıklıyor:
- FlipperZero Gibi Basit Bir Cihazla: Düşük güçlü ve popüler bir sızma testi aracı olan FlipperZero ile bir treni, birkaç yüz fit (yaklaşık 100 metre) mesafeden durdurmak mümkün.
- Uçaktan 150 Mil Menzil: Eğer saldırgan, 30.000 fit yükseklikte uçan bir uçakta birkaç watt gücünde bir vericiye sahipse, teorik olarak 150 mil (yaklaşık 240 km) menzile ulaşabilir.
Ancak Smith, bu kadar uzak mesafeden bir saldırı yapmanın, trenden değerli bir şey çalmak isteyen hırsızlar için pek de verimli bir yöntem olmayacağını, çünkü hedeflerinden çok uzakta kalacaklarını da ekliyor.
Endüstrinin “Görmezden Gelme” Tutumu
Araştırmacı Smith, sorunu yıllar önce Amerikan Demiryolları Birliği’ne (AAR) bildirdiğinde, yetkililerin bu sorunu gerçek hayatta kendilerine gösterilmediği sürece kabul etmeyeceklerini söylediklerini ve herhangi bir test yapılmasına da onay vermediklerini iddia ediyor. Bu “görmezden gelme” tutumu, sorunun neden on yıldan fazla bir süredir çözülmediğini de açıklıyor.
CISA’dan Chris Butera ise, zafiyetin “demiryolu sektörü paydaşları tarafından on yıldan uzun süredir anlaşıldığını ve izlendiğini” ve sorunu hafifletmek için ortaklarla birlikte çalışıldığını belirtti. Ancak CISA, bir saldırganın başarılı olması için “demiryolu hatlarına fiziksel erişim, derin protokol bilgisi ve özel ekipman” gerektirdiğini ve bu durumun yaygın bir istismar olasılığını sınırladığını da ekledi.
Araştırmacı Smith ise, CISA’nın güvencelerine rağmen, AAR’ın tutumu nedeniyle bu sorunu tamamen düzeltmenin yıllar alabileceğini düşünüyor ve demiryolu endüstrisinin siber güvenliğe yaklaşımını, sigorta şirketlerinin talepte bulunanlara ödeme yapmayı geciktirme ve reddetme şekline benzetiyor.
Kritik altyapıların siber güvenliği, bir ülkenin ulusal güvenliği için hayati önem taşır. On yıldan uzun süredir bilinen böylesine temel bir güvenlik açığının hala var olması, endüstrinin ve düzenleyici kurumların bu konuya ne kadar yavaş yaklaştığını gösteren endişe verici bir durumdur.
Sizce kritik altyapıların siber güvenliği konusunda şirketler mi yoksa devletler mi daha fazla sorumluluk almalı? Bu tür eski ama tehlikeli sistemlerin modernize edilmesi için ne gibi adımlar atılmalı? Düşüncelerinizi yorumlarda bizimle paylaşın!
En son siber güvenlik açıkları ve kritik altyapı güvenliği hakkındaki haberler için techneiro.com‘u takip etmeye devam edin!
